Google официально приостановила приём отчётов об уязвимостях в продуктах в рамках своей программы вознаграждений Open Source Software Vulnerability Reward Program (OSS VRP). Причина — наплыв некорректных отчётов, сгенерированных ИИ. Компания объявила об этом в X 1 октября; в тот же день пауза и вступила в силу.

Что изменилось

  • Отчёты об уязвимостях в продуктах, отправленные до 1 октября, обработают как обычно.
  • Отчёты, касающиеся цепочки поставок ПО, по-прежнему принимаются.
  • Часть отчётов по репозиториям Google Cloud можно отправлять через программу Cloud VRP.
  • Google предлагает участникам обратить внимание на другие свои программы и обещает рассказать о судьбе этой части программы к первому кварталу 2027 года.

Почему так вышло

OSS VRP платит независимым исследователям за найденные и ответственно раскрытые уязвимости в открытом коде Google: ошибки в логике, архитектуре и реализации. Раньше это была кропотливая работа, требующая квалификации. С появлением больших языковых моделей и автоматических скриптов «охоты на баги» стоимость и трудоёмкость упали почти до нуля.

В результате инженеров Google и мейнтейнеров открытых проектов завалили тысячами плохо написанных отчётов. В них утверждалось, что найдены уязвимости, но на деле это были «галлюцинации» — несуществующие или неэксплуатируемые ошибки. Специалисты тратили время на ручную проверку вместо исправления реальных критических проблем.

Это происходит повсюду

По данным Tom’s Hardware, похожие истории разворачиваются по всей индустрии. В этом месяце мейнтейнеры ядра Linux признались, что «полностью перегружены»: ИИ-охотники за багами довели число уязвимостей до рекордных 2000 за релиз. Linux также отказался от поддержки старых сетевых драйверов из-за потока ложных ИИ-отчётов. Свою программу вознаграждений приостанавливала и Intel.

Почему это важно

Программы баг-баунти — один из главных способов находить уязвимости до злоумышленников. Если они перестают работать из-за спама, страдают все пользователи: реальные ошибки дольше остаются незакрытыми. Парадокс в том, что ИИ одновременно и помогает находить настоящие уязвимости, и забивает каналы мусором.

Скорее всего, компании будут менять правила: требовать доказательства работоспособности уязвимости, проверять репутацию исследователей или вводить ограничения на количество отчётов. Для добросовестных специалистов по безопасности это означает больше бюрократии, но иначе программы просто не выживут.

Источники: Tom’s Hardware.